Лицензия ФСБ: виды работ с шифровальными средствами, требования и порядок получения

01

Лицензия ФСБ, нотификация и лицензия на ввоз: три разных документа

Это три разных документа: нотификация относится к товару, лицензия Минпромторга — к ввозу, лицензия ФСБ — к деятельности организации. Нотификация — уведомление о характеристиках модели товара, регистрируется изготовителем, даёт право ввоза. Лицензия Минпромторга на ввоз — разрешение на конкретную внешнеторговую операцию с шифровальными средствами вне категорий нотификации. Лицензия ФСБ — разрешение организации осуществлять на территории России деятельность, связанную с шифровальными средствами. Она не про товар и не про границу, а про то, что компания делает.

02

Какие виды деятельности лицензируются

Перечень видов работ в области шифрования, подлежащих лицензированию, установлен положением о лицензировании этой деятельности. В лицензии указываются конкретные виды работ и услуг, и выполнять можно только их: лицензия на обслуживание не даёт права распространять, лицензия на распространение — права разрабатывать.

03

Кому лицензия нужна, а кому нет: по бизнес-моделям

Требование о лицензии привязано к деятельности, обращённой наружу — к третьим лицам. Использование сертифицированных средств для собственных нужд не лицензируется. Граница проходит по вопросу: делаете ли вы что-то с шифровальными средствами для других.

04

Лицензионные требования к соискателю

Требования делятся на четыре группы: персонал, помещения, оборудование и средства защиты, документация. Каждая проверяется при рассмотрении заявления и затем при плановых и внеплановых проверках.

05

Требования к персоналу подробнее

Для большинства видов работ требуются руководитель или его заместитель, ответственный за лицензируемую деятельность, и специалисты со стажем в этой области. Специалисты должны иметь высшее профессиональное образование по направлению информационной безопасности либо иное высшее образование с профессиональной переподготовкой по программам, согласованным в установленном порядке. Число специалистов и требования к стажу зависят от заявляемых видов работ.

• профильное высшее образование по информационной безопасности — самый прямой путь;
• непрофильное высшее образование с переподготовкой по установленной программе — распространённый вариант для практиков;
• стаж в области лицензируемой деятельности подтверждается документально, а не описанием опыта;
• ответственный руководитель назначается приказом и несёт персональную ответственность;
• персонал, допущенный к работе с СКЗИ, проходит обучение по правилам обращения с ними;
• штатные, а не привлечённые по разовым договорам сотрудники.

06

Требования к помещениям и учёту СКЗИ

Помещения, где хранятся и эксплуатируются шифровальные средства и ключевые документы, должны исключать неконтролируемый доступ: режим допуска, охрана или сигнализация, надёжные хранилища для ключевых носителей, порядок вскрытия и опечатывания. Учёт СКЗИ, ключевых документов и эксплуатационной документации ведётся поэкземплярно в журналах, назначается ответственный за учёт и хранение, регулярно проводится проверка наличия. Эти же требования проверяют при контроле у пользователей СКЗИ, но для лицензиата они — условие самого права работать.

1. Определите помещения для хранения СКЗИ и ключевых документов и оформите права на них.
2. Организуйте режим доступа: перечень допущенных лиц, порядок посещения, охрана или сигнализация.
3. Установите хранилища для ключевых носителей с порядком опечатывания.
4. Заведите журналы поэкземплярного учёта СКЗИ, ключевых документов, эксплуатационной документации.
5. Назначьте приказом ответственных за учёт, хранение и эксплуатацию.
6. Утвердите инструкции по обращению с СКЗИ и порядок действий при компрометации ключей.
7. Проводите периодические проверки наличия и фиксируйте их результаты.

07

Порядок получения по шагам

1. Определите точный перечень видов работ по положению о лицензировании, исходя из бизнес-модели на два-три года вперёд: дополнять лицензию — отдельная процедура.
2. Проведите аудит соответствия: персонал, помещения, оборудование, документация; составьте план устранения разрывов.
3. Подберите или переподготовьте персонал, оформите трудовые отношения и приказы.
4. Подготовьте помещения, режим доступа, хранилища, журналы учёта.
5. Приобретите сертифицированные СЗИ и СКЗИ, необходимые для заявленных работ, обеспечьте поверку средств измерений.
6. Разработайте и утвердите внутренние регламенты и инструкции.
7. Подготовьте заявление и комплект документов, уплатите государственную пошлину.
8. Подайте заявление в ФСБ России; пройдите документарную проверку и проверку соответствия лицензионным требованиям с выездом.
9. Устраните замечания, если они есть, и получите лицензию; сведения вносятся в реестр лицензий.
10. Поддерживайте соответствие требованиям: кадры, учёт, помещения — проверяется в течение всего срока.

08

Комплект документов для лицензии ФСБ

09

Сроки и структура затрат

Срок процедуры складывается из подготовки (от двух месяцев до полугода в зависимости от исходного состояния) и рассмотрения. Рассмотрение заявления и проверка укладываются в установленный регламентом срок с возможностью запросов.

• государственная пошлина за предоставление лицензии — по Налоговому кодексу, малая часть бюджета;
• обучение и переподготовка персонала, заработная плата профильных специалистов — основная постоянная статья;
• оборудование помещений, хранилища, сигнализация;
• сертифицированные СЗИ и СКЗИ для собственной инфраструктуры лицензиата;
• разработка документации и консультационное сопровождение;
• поддержание соответствия: обучение новых сотрудников, поверка, актуализация документов.

10

Расширение перечня работ и изменения в лицензии

Расширение перечня, изменение адреса мест осуществления деятельности, реорганизация, смена наименования — основания для переоформления лицензии с проверкой соответствия по новым позициям. Лицензия выдаётся на конкретные виды работ, и выход за их пределы — нарушение, даже если у компании есть «какая-то лицензия ФСБ». Планируя бизнес, стоит заявить виды работ с запасом на ближайшие годы и заранее учитывать, что каждый новый адрес — это новое режимное помещение с теми же требованиями.

• новый вид работ — переоформление с проверкой требований по нему;
• новый адрес деятельности — подтверждение соответствия помещений;
• реорганизация или смена наименования — переоформление в установленный срок;
• прекращение отдельных видов работ — заявление об исключении;
• приостановление по результатам проверки — устранение нарушений в срок, иначе прекращение.

11

Проверки лицензиата и ответственность

Лицензирующий орган проводит плановые и внеплановые проверки соблюдения лицензионных требований: кадры, помещения, учёт СКЗИ и ключевых документов, соблюдение правил эксплуатации, ведение журналов. При выявлении нарушений выдаётся предписание, действие лицензии может быть приостановлено, а при неустранении нарушений — прекращено. Деятельность без лицензии, когда она обязательна, влечёт административную ответственность по статье 14.1 КоАП РФ, а при извлечении крупного дохода — уголовную по статье 171 УК РФ о незаконном предпринимательстве. Нарушение правил обращения с шифровальными средствами — отдельный состав по статье 13.12 КоАП РФ.

12

Типовые ошибки соискателей

• заявлены не те виды работ: описание бизнеса вместо пунктов положения о лицензировании;
• единственный профильный специалист — совместитель или привлечён по договору;
• переподготовка пройдена по программе, не соответствующей установленным требованиям;
• помещение в субаренде без возможности организовать режим;
• журналы учёта заведены формально, без фактического учёта экземпляров СКЗИ;
• несертифицированные СЗИ в собственной инфраструктуре лицензиата;
• регламенты скопированы из шаблонов и не описывают реальные процессы;
• старт коммерческой деятельности до получения лицензии «на время рассмотрения»;
• при расширении бизнеса не переоформлена лицензия на новые виды работ и адреса.

13

Чек-лист перед подачей заявления

1. Перечень видов работ сверен с положением о лицензировании и покрывает планы на два-три года.
2. Руководитель и специалисты соответствуют требованиям по образованию, переподготовке и стажу, оформлены в штат.
3. Помещения оформлены, режим доступа и хранилища организованы.
4. СЗИ и СКЗИ сертифицированы, средства измерений поверены.
5. Журналы учёта ведутся фактически, ответственные назначены приказами.
6. Регламенты и инструкции утверждены и известны персоналу.
7. Пошлина уплачена, заявление и комплект проверены на соответствие формам.
8. К выездной проверке готово фактическое состояние, а не только бумаги.

14

Как выбрать: нотификация, лицензия на ввоз или лицензия ФСБ

1. Определите, что вы делаете: ввозите товар, продаёте и обслуживаете средства защиты, оказываете услуги или используете криптографию для себя.
2. Сначала проверяют, входит ли товар с шифровальными функциями в перечень раздела 2.19 по коду ТН ВЭД и описанию. Затем возможность использования нотификации определяют по категориям приложения № 4 к Положению о ввозе и вывозе шифровальных средств и характеристикам изделия. Основная функция защиты, наличие VPN или аппаратного ускорителя сами по себе не заменяют этой проверки. Если нотификационный порядок неприменим, по приложению № 9 определяют необходимость лицензии, заключения либо наличие исключения для конкретной операции.
3. Для продажи, установки и обслуживания СКЗИ у заказчиков, для услуг шифрования — лицензия ФСБ на соответствующие виды работ.
4. Для использования в собственной инфраструктуре — лицензия не требуется, но обязателен порядок эксплуатации по формуляру.
5. Для разработки сертифицируемых СКЗИ — лицензия ФСБ на разработку и производство обязательна до старта сертификации.
6. При сомнении определите режим до подписания договоров с заказчиками: переоформить схему после старта дороже, чем подождать лицензию.

15

Лицензия и нотификация: в чём разница

16

Когда лицензия не нужна

Использование шифровальных средств для собственных нужд организации не лицензируется: компания вправе применять сертифицированные средства защиты информации в своей инфраструктуре. Ввоз товаров с шифровальными функциями из перечня раздела 2.19 закрывается нотификацией, если изделие подпадает под категории приложения № 4 к Положению о ввозе и вывозе шифровальных средств. Лицензия становится обязательной, когда деятельность обращена наружу: продажа средств защиты информации, их установка и обслуживание у заказчиков, оказание услуг по шифрованию, разработка защищённых систем на заказ.

17

Ответственность и контроль

Деятельность без лицензии, когда она обязательна, влечёт административную ответственность по статье 14.1 КоАП РФ. В отношении криптографических средств применяются и специальные составы, включая нарушение правил обращения со средствами защиты информации. Лицензирующий орган проводит проверки соблюдения лицензионных требований: при выявлении нарушений действие лицензии приостанавливается, а при неустранении — прекращается по решению суда. Отдельная зона риска — работы, выполняемые за пределами лицензированных видов деятельности.

18

Нормативные основания

• Статья 14.1 КоАП РФ — административная ответственность за деятельность без лицензии, когда она обязательна
• Статья 13.12 КоАП РФ — ответственность за нарушение правил обращения с шифровальными средствами
• Статья 171 УК РФ — уголовная ответственность за незаконное предпринимательство при извлечении крупного дохода
• Налоговый кодекс — государственная пошлина за предоставление лицензии
• Положение о ввозе и вывозе шифровальных средств, приложения № 4 и № 9 — категории для нотификации и случаи, когда нужны лицензия, заключение или исключение
• Закон об электронной подписи — аккредитация удостоверяющих центров